Масив шкідливого програмного забезпечення Cereal пов’язаний з групою APT Turla

Резюме

ESET виявила новий модульний набір інструментів .NET під назвою Cereal, який приписується групі Turla APT. Цей фреймворк спеціально створений для цілей довгострокового кібер-шпіонажу на серверах Microsoft Exchange. Він використовує передові технології, такі як захоплення каналів транспорту електронної пошти та використання кешу рідних зображень .NET для збереження невидимості та обходу детекції.

Розслідування

Розслідування почалося після того, як дослідники виявили підозрілу активність на урядовому сервері Exchange в Казахстані у листопаді 2025 року. Подальший аналіз виявив модульний інструментарій, що містить компоненти, такі як CerealLoader та CerealBox. Додаткова телеметрія згодом виявила схожу активність, що націлена на румунську урядову організацію в грудні 2025 року.

Пом’якшення

Організації повинні контролювати ненормальну поведінку виконання .NET, особливо некеровані точки входу та виправлення Vtable. Зміцнення середовищ Microsoft Exchange та виявлення несанкціонованих змін в процесі EdgeTransport.exe або існуючих транспортних агентів є критичними. Аудит кешу рідного зображення .NET для несподіваних DLL також може допомогти виявити механізми збереження.

Реакція

Коли виявлено зловмисну активність, респонденти повинні изолювати уражений сервер Exchange і провести аналіз пам’яті для визначення ін’єктованих модулів. Перевірте веб-трафік на наявність незвичних URL-шляхів, пов’язаних із комунікаційними паттернами CerealNeuron. Проведіть всебічний аудит встановлених транспортних агентів Exchange та системних збірок .NET на предмет несанкціонованих змін.

Імітація виконання

• Оповідь атаки та команди: Зловмисник успішно порушив середовище та намагається розгорнути набір інструментів Turla Cereal для встановлення можливостей командування та управління (C2). Щоб уникнути виявлення базовими антивірусами, вони намагаються запустити CerealLoader компонент. Мета зловмисника – виконати завантажувач, який потім побічно завантажить зловмисні DLL у легальний процес. Імітація буде відтворено шляхом виконання фіктивного процесу з такими ж аргументами командного рядка CerealLoader щоб перевірити, чи отримує SOC попередження.

• Скрипт регресійного тестування:

  # Скрипт імітації для активації правила виявлення Turla Cereal.
  # Це імітує виконання компонента CerealLoader.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] Початок імітації: Виконання процесу з командним рядком, що містить $TargetString"
  
  # За допомогою cmd.exe ми виконуємо фіктивну команду, яка включає цільовий рядок в аргументи.
  Start-Process "cmd.exe" -ArgumentList "/c echo Імітація виконання $TargetString" -WindowStyle Hidden
  
  Write-Host "[+] Команда імітації відправлена. Перевірте SIEM на наявність попередження."

• Команди очищення:

  # Під час цієї імітації постійні файли не були створені.
  # Якби файли були скинуті, їх би видалили тут.
  Write-Host "[+] Очищення завершено. Артефактів для видалення немає."